tcpdump の使用方法ダウンロード - tcpdump の使用方法ソースコードのダウンロード

tcpdumpの使い方

Tcpdump コマンドは、tcpdump がインストールされているシステムに接続されたネットワーク上で送信されている TCPIP およびその他のネットワークパケットを表示するために使用される有名なネットワークパケット分析ツールです。 Tcpdump は、libpcap ライブラリを使用してネットワークパケットをキャプチャし、ほぼすべての Linux/Unix フレーバーで利用できます。

Linux Tcpdump: ipv6 ntp ping パケットをフィルタリングする

Tcpdump: DHCP および DHCPv6 パケットをキャプチャする

Linux での 20 の高度な Tcpdump の例

10 役立つ tcpdump コマンドの例

TCPダンプ

お読みください

Tcpdump は、情報セキュリティ専門家にとってこれまでで最高のネットワーク分析ツールの 1 つです。 Tcpdump は、ハッカーや TCP/IP についてあまり理解していない人にとって、あらゆる人向けです。

オプション

以下に、ツールの使用に役立ついくつかの tcpdump オプション (有用な例を含む) を示します。これらは非常に忘れやすく、他のタイプのフィルター (つまりエーテル) と混同しやすいので、この記事が私と同様に参考になれば幸いです:)

1 つ目は -n で、名前が解決されないことを要求し、結果として IP 自体が解決されます。
2 番目は -X で、パケット内の 16 進数と ASCII の両方のコンテンツを表示します。
最後のものは -S で、シーケンス番号の表示を相対的ではなく絶対的に変更します。

パケットの内容を 16 進数と ASCII の両方で表示します。

 tcpdump -X ....

-X と同じですが、イーサネットヘッダーも表示されます。

 tcpdump -XX

利用可能なインターフェースのリストを表示する

 tcpdump -D

行読み取り可能な出力 (保存時に表示したり、他のコマンドに送信したりするため)

 tcpdump -l

出力はあまり冗長にせず (より静かに) 行います。

 tcpdump -q

人間が判読できるタイムスタンプを出力します。

 tcpdump -t :

人間が判読できるタイムスタンプ出力を最大限に提供します。

 tcpdump -tttt :

eth0 インターフェイスでリッスンします。

 tcpdump -i eth0

詳細な出力 (v が多いほど出力が多くなります)。

 tcpdump -vv

x 個のパケットのみを取得してから停止します。

 tcpdump -c

キャプチャのスナップ長 (サイズ) をバイト単位で定義します。意図的にキャプチャを少なくする場合を除き、すべてを取得するには -s0 を使用します。

 tcpdump -s

絶対シーケンス番号を出力します。

 tcpdump -S

イーサネットヘッダーも取得します。

 tcpdump -e

暗号化キーを提供して IPSEC トラフィックを復号化します。

 tcpdump -E

その他のオプションについては、マニュアルを参照してください。

すべてのオプションはここで見つけてください
Linux Tcpdump: ipv6 ntp ping パケットをフィルタリングする
Tcpdump: DHCP および DHCPv6 パケットをキャプチャする
Linux での 20 の高度な Tcpdump の例
10 役立つ tcpdump コマンドの例

基本的な使い方

利用可能なインターフェースの表示

 tcpdump -D
tcpdump --list-interfaces

HTTPS トラフィックを取得する基本的なコマンドから始めましょう。

 tcpdump -nnSX port 443

IPでトラフィックを検索

 tcpdump host 1.1.1.1

送信元および/または宛先によるフィルタリング

 tcpdump src 1.1.1.1 
tcpdump dst 1.0.0.1

ネットワークごとにパケットを検索する

 tcpdump net 1.2.3.0/24

低出力:

 tcpdump -nnvvS

中出力:

 tcpdump -nnvvXS

大量の出力:

 tcpdump -nnvvXSs 1514

クリエイティブになる

式は非常に優れていますが、tcpdump の本当の魅力は、探しているものを正確に分離するために創造的な方法でそれらを組み合わせる機能にあります。

組み合わせには次の 3 つの方法があります。

そして

 and or &&

または

 or or ||

を除外する

 not or !

使用例：

192.168.1.1 から送信され、ポート 3389 または 22 宛てのトラフィック

 tcpdump 'src 192.168.1.1 and (dst port 3389 or 22)'

高度な

すべての URG パケットを表示します:

 tcpdump 'tcp[13] & 32 != 0'

すべての ACK パケットを表示します。

 tcpdump 'tcp[13] & 16 != 0'

すべての PSH パケットを表示します:

 tcpdump 'tcp[13] & 8 != 0'

すべての RST パケットを表示します。

 tcpdump 'tcp[13] & 4 != 0'

すべての SYN パケットを表示します。

 tcpdump 'tcp[13] & 2 != 0'

すべての FIN パケットを表示します:

 tcpdump 'tcp[13] & 1 != 0'

すべての SYN-ACK パケットを表示します。

 tcpdump 'tcp[13] = 18'

SYN フラグと RST フラグの両方が設定されているすべてのトラフィックを表示します: (これは決して起こらないはずです)

 tcpdump 'tcp[13] = 6'

「悪ビット」が設定されたすべてのトラフィックを表示します。

 tcpdump 'ip[6] & 128 != 0'

すべての IPv6 トラフィックを表示します。

 tcpdump ip6

キャプチャされたパケットを ASCII で印刷する

 tcpdump -A -i eth0

キャプチャされたパケットを HEX および ASCII で表示

 tcpdump -XX -i eth0

パケットをキャプチャしてファイルに保存する

 tcpdump -w 0001.pcap -i eth0

キャプチャされたパケットファイルの読み取り

 tcpdump -r 0001.pcap

IPアドレスパケットのキャプチャ

 tcpdump -n -i eth0

TCP パケットのみをキャプチャします。

 tcpdump -i eth0 tcp

特定のポートからパケットをキャプチャする

 tcpdump -i eth0 port 22

送信元IPからパケットをキャプチャする

 tcpdump -i eth0 src 192.168.0.2

宛先IPからパケットをキャプチャする

 tcpdump -i eth0 dst 50.116.66.139

xxxx からのパックをキャプチャします

 tcpdump -n src host x.x.x.x

xxxx との間で送受信されるパケットをキャプチャします。

 tcpdump -n host x.x.x.x

xxxx に送信されるパケットをキャプチャします

 tcpdump -n dst host x.x.x.x

xxxx からのパックをキャプチャします

 tcpdump -n src host x.x.x.x

ネットワーク xxx0/24 に送信されるパケットをキャプチャします。

 tcpdump -n dst net x.x.x.0/24

ネットワーク xxx0/24 からのパケットをキャプチャします

 tcpdump -n src net x.x.x.0/24

宛先ポート x のパケットをキャプチャします

 tcpdump -n dst port x

ポート x から送信されるパケットをキャプチャします

 tcpdump -n src port x

ポート範囲 x から y への、またはポート範囲へのパケットをキャプチャします

 tcpdump -n dst(or src) portrange x-y

任意の tcp または udp ポート範囲 x から y をキャプチャします

 tcpdump -n tcp(or udp) dst(or src) portrange x-y

dst ip xxxx およびポート y のパケットをキャプチャします

 tcpdump -n "dst host x.x.x.x and dst port y"

dst ip xxxx および dst ポート x、z のパケットをキャプチャします

 tcpdump -n "dst host x.x.x.x and (dst port x or dst port z)"

ICMP、ARPをキャプチャ

 tcpdump -v icmp(or arp)

インターフェイス eth0 でパケットをキャプチャし、cap.txt ファイルにダンプします

 tcpdump -i eth0 -w cap.txt

16 進出力でパケットの内容を取得する

 tcpdump -c 1 -X icmp

特定のポートに関連するトラフィックを表示する

 tcpdump port 3389 
tcpdump src port 1025

1 つのプロトコルのトラフィックを表示

 tcpdump icmp

IPでトラフィックを検索

 tcpdump host 1.1.1.1

送信元および/または宛先によるフィルタリング

 tcpdump src 1.1.1.1 
tcpdump dst 1.0.0.1

ネットワークごとにパケットを検索する

 tcpdump net 1.2.3.0/24

16 進出力でパケットの内容を取得する

 tcpdump -c 1 -X icmp

特定のポートに関連するトラフィックを表示する

 tcpdump port 3389 
tcpdump src port 1025

1 つのプロトコルのトラフィックを表示

 tcpdump icmp

IP6 トラフィックのみを表示

 tcpdump ip6

ポート範囲を使用したトラフィックの検索

 tcpdump portrange 21-23

パケットサイズに基づいてトラフィックを検索する

 tcpdump less 32 
 tcpdump greater 64 
 tcpdump <= 128
 tcpdump => 128

ファイルへのキャプチャの読み取り/書き込み (pcap)

 tcpdump port 80 -w capture_file
tcpdump -r capture_file

すべては組み合わせが重要です

未処理の出力ビュー

 tcpdump -ttnnvvS

コマンドを組み合わせた例をいくつか示します。

特定の IP から特定のポート宛て

 tcpdump -nnvvS src 10.5.2.3 and dst port 3389

あるネットワークから別のネットワークへ

 tcpdump -nvX src net 192.168.0.0/16 and dst net 10.0.0.0/8 or 172.16.0.0/16

特定の IP に向かう非 ICMP トラフィック

 tcpdump dst 192.168.0.2 and src net and not icmp

特定のポート上にないホストからのトラフィック

 tcpdump -vv src mars and not dst port 22

TCP RST フラグを分離します。

 tcpdump 'tcp[13] & 4!=0'
tcpdump 'tcp[tcpflags] == tcp-rst'

TCP SYN フラグを分離します。

 tcpdump 'tcp[13] & 2!=0'
tcpdump 'tcp[tcpflags] == tcp-syn'

SYN フラグと ACK フラグの両方が設定されているパケットを分離します。

 tcpdump 'tcp[13]=18'

TCP URG フラグを分離します。

 tcpdump 'tcp[13] & 32!=0'
tcpdump 'tcp[tcpflags] == tcp-urg'

TCP ACK フラグを分離します。

 tcpdump 'tcp[13] & 16!=0'
tcpdump 'tcp[tcpflags] == tcp-ack'

TCP PSH フラグを分離します。

 tcpdump 'tcp[13] & 8!=0'
tcpdump 'tcp[tcpflags] == tcp-psh'

TCP FIN フラグを分離します。

 tcpdump 'tcp[13] & 1!=0'
tcpdump 'tcp[tcpflags] == tcp-fin'

ほぼ毎日使っているコマンド

SYN と RST の両方のセット

 tcpdump 'tcp[13] = 6'

HTTP ユーザーエージェントを検索する

 tcpdump -vvAls0 | grep 'User-Agent:'
tcpdump -nn -A -s1500 -l | grep "User-Agent:"

egrep と複数の一致を使用することで、リクエストからユーザーエージェントとホスト (またはその他のヘッダー) を取得できます。

 tcpdump -nn -A -s1500 -l | egrep -i 'User-Agent:|Host:'

HTTP GET パケットと POST パケットのみをキャプチャし、GET に一致するパケットのみをキャプチャします。

 tcpdump -s 0 -A -vv 'tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x47455420'
tcpdump -s 0 -A -vv 'tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x504f5354'

HTTP リクエスト URL を抽出する

 tcpdump -s 0 -v -n -l | egrep -i "POST /|GET /|Host:"

POSTリクエスト内のHTTPパスワードを抽出する

 tcpdump -s 0 -A -n -l | egrep -i "POST /|pwd=|passwd=|password=|Host:"

サーバーおよびクライアントから Cookie をキャプチャする

 tcpdump -nn -A -s0 -l | egrep -i 'Set-Cookie|Host:|Cookie:'

すべての ICMP パケットをキャプチャする

 tcpdump -n icmp

ECHO/REPLY (標準 ping) ではない ICMP パケットを表示します

 tcpdump 'icmp[icmptype] != icmp-echo and icmp[icmptype] != icmp-echoreply'

SMTP / POP3 電子メールをキャプチャする

 tcpdump -nn -l port 25 | grep -i 'MAIL FROM|RCPT TO'

NTP クエリと応答のトラブルシューティング

 tcpdump dst port 123

FTP 認証情報とコマンドをキャプチャする

 tcpdump -nn -v port ftp or ftp-data

キャプチャファイルの回転

 tcpdump  -w /tmp/capture-%H.pcap -G 3600 -C 200

IPv6トラフィックをキャプチャする

 tcpdump -nn ip6 proto 6

UDP を使用した IPv6、および以前に保存されたキャプチャファイルからの読み取り。

 tcpdump -nr ipv6-test.pcap ip6 proto 17

ネットワークトラフィックにおけるポートスキャンの検出

 tcpdump -nn

使用例

Nmap NSE スクリプトのテストを示すフィルターの例

目標通り:

 nmap -p 80 --script=http-enum.nse targetip

サーバー上:

 tcpdump -nn port 80 | grep "GET /"
  
     GET /w3perl/ HTTP/1.1
     GET /w-agora/ HTTP/1.1
     GET /way-board/ HTTP/1.1
     GET /web800fo/ HTTP/1.1
     GET /webaccess/ HTTP/1.1
     GET /webadmin/ HTTP/1.1
     GET /webAdmin/ HTTP/1.1

すべての非ローカルホストの開始パケットと終了パケットをキャプチャする

 tcpdump 'tcp[tcpflags] & (tcp-syn|tcp-fin) != 0 and not src and dst net localnet'

DNS リクエストとレスポンスをキャプチャする

Tcpdump を使用した DNS のフィルタリング

 tcpdump -i wlp58s0 -s0 port 53

HTTPデータパケットをキャプチャする

 tcpdump 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'

パケット別トップホスト

 tcpdump -nnn -t -c 200 | cut -f 1,2,3,4 -d '.' | sort | uniq -c | sort -nr | head -n 20

すべての平文パスワードをキャプチャする

 tcpdump port http or port ftp or port smtp or port imap or port pop3 or port telnet -l -A | egrep -i -B5 'pass=|pwd=|log=|login=|user=|username=|pw=|passw=|passwd=|password=|pass:|user:|username:|password:|login:|pass |user '

tcpdump port http or port ftp or port smtp or port imap or port pop3 or port telnet -lA | egrep -i -B5 'pass=|pwd=|log=|login=|user=|username=|pw=|passw=|passwd= |password=|pass:|user:|username:|password:|login:|pass |user '

DHCP の例

 tcpdump -v -n port 67 or 68

平文の GET リクエスト

 tcpdump -vvAls0 | grep 'GET'

HTTP ホストヘッダーの検索

 tcpdump -vvAls0 | grep 'Host:'

HTTP Cookie を見つける

 tcpdump -vvAls0 | grep 'Set-Cookie|Host:|Cookie:'

SSH接続の検索

 tcpdump 'tcp[(tcp[12]>>2):4] = 0x5353482D'

DNSトラフィックの検索

 tcpdump -vvAs0 port 53

FTP トラフィックの検索

 tcpdump -vvAs0 port ftp or ftp-data

NTP トラフィックの検索

 tcpdump -vvAs0 port 123

SMTP / POP3 電子メールをキャプチャする

 tcpdump -nn -l port 25 | grep -i 'MAIL FROM|RCPT TO'

ラインバッファモード

 tcpdump -i eth0 -s0 -l port 80 | grep 'Server:'

邪悪なビットを含むトラフィックを検索

 tcpdump 'ip[6] & 128 != 0'

プロトコル (ICMP) およびプロトコル固有のフィールド (ICMP タイプ) によるフィルター

Tcpdump: Tcp フラグを使用してパケットをフィルタリングする

tcpdump -n icmp および 'icmp[0] != 8 および icmp[0] != 0'

同じコマンドを、事前定義されたヘッダーフィールドオフセット (icmptype) および ICMP タイプフィールド値 (icmp-echo および icmp-echoreply) で使用できます。

 tcpdump -n icmp and icmp[icmptype] != icmp-echo and icmp[icmptype] != icmp-echoreply

TOSフィールドでフィルタリングする

 tcpdump -v -n ip and ip[1]!=0

TTLフィールドでフィルタリングする

 tcpdump -v ip and 'ip[8]<2'

TCP フラグ (SYN/ACK) のフィルター

 tcpdump -n tcp and port 80 and 'tcp[tcpflags] & tcp-syn == tcp-syn'

上の例では、TCP SYN フラグが設定されているすべてのパケットがキャプチャされます。他のフラグ (ACK など) も設定される場合があります。 TCP SYN フラグのみが設定されているパケットはキャプチャ可能

 tcpdump tcp and port 80 and 'tcp[tcpflags] == tcp-syn'

TCP SYN/ACK パケット (通常はサーバーからの応答) をキャッチします。

 tcpdump -n tcp and 'tcp[tcpflags] & (tcp-syn|tcp-ack) == (tcp-syn|tcp-ack)'
tcpdump -n tcp and 'tcp[tcpflags] & tcp-syn == tcp-syn' and 'tcp[tcpflags] & tcp-ack == tcp-ack'

ARPパケットをキャッチする

 tcpdump -vv -e -nn ether proto 0x0806

IPパケット長によるフィルタ

 tcpdump -l icmp and '(ip[2:2]>50)' -w - |tcpdump -r - -v ip and '(ip[2:2]<60)'

注: tcpdump のバグのため、次のコマンドは期待どおりにパケットをキャッチしません。

 tcpdump -v -n icmp and '(ip[2:2]>50)' and '(ip[2:2]<60)'

カプセル化されたコンテンツのフィルタリング (PPPoE 内の ICMP)

 tcpdump -v -n icmp

静かになった

 tcpdump -q -i eth0
tcpdump -t -i eth0
tcpdump -A -n -q -i eth0 'port 80'
tcpdump -A -n -q -t -i eth0 'port 80'

HTTP トラフィックから有用なパケットのみを出力する

 tcpdump -A -s 0 -q -t -i eth0 'port 80 and ( ((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12:2]&0xf0)>>2)) != 0)'

SIP トラフィックをダンプする

 tcpdump -nq -s 0 -A -vvv port 5060 and host 1.2.3.4

パケットの内容を確認する

 tcpdump -i any -c10 -nn -A port 80

パケットの内容を確認する

 sudo tcpdump -i any -c10 -nn -A port 80

参考文献と素晴らしい Wiki

Tcpdump を使用して ICMP パケットをキャプチャする

Tcpdump を使用した SSH パケットのデバッグ

Tcpdump を使用した DNS パケットのフィルタリング

tcpdump クイックガイドを学ぶ

Tcpdump を使用した DNS のフィルタリング

Tcpdump を使用した CDP LLDP パケットのフィルタリング

Tcpdump チートシート (基本的な高度な例)

終わり！

拡大する

tcpdumpの使い方

tcpdumpの使い方

TCPダンプ

お読みください

オプション

パケットの内容を 16 進数と ASCII の両方で表示します。

-X と同じですが、イーサネット ヘッダーも表示されます。

利用可能なインターフェースのリストを表示する

行読み取り可能な出力 (保存時に表示したり、他のコマンドに送信したりするため)

出力はあまり冗長にせず (より静かに) 行います。

人間が判読できるタイムスタンプを出力します。

人間が判読できるタイムスタンプ出力を最大限に提供します。

eth0 インターフェイスでリッスンします。

詳細な出力 (v が多いほど出力が多くなります)。

x 個のパケットのみを取得してから停止します。

キャプチャのスナップ長 (サイズ) をバイト単位で定義します。意図的にキャプチャを少なくする場合を除き、すべてを取得するには -s0 を使用します。

絶対シーケンス番号を出力します。

イーサネットヘッダーも取得します。

暗号化キーを提供して IPSEC トラフィックを復号化します。

その他のオプションについては、マニュアルを参照してください。

基本的な使い方

利用可能なインターフェースの表示

HTTPS トラフィックを取得する基本的なコマンドから始めましょう。

IPでトラフィックを検索

送信元および/または宛先によるフィルタリング

ネットワークごとにパケットを検索する

低出力:

中出力:

大量の出力:

クリエイティブになる

組み合わせには次の 3 つの方法があります。

そして

または

を除外する

使用例：

192.168.1.1 から送信され、ポート 3389 または 22 宛てのトラフィック

高度な

すべての URG パケットを表示します:

すべての ACK パケットを表示します。

すべての PSH パケットを表示します:

すべての RST パケットを表示します。

すべての SYN パケットを表示します。

すべての FIN パケットを表示します:

すべての SYN-ACK パケットを表示します。

SYN フラグと RST フラグの両方が設定されているすべてのトラフィックを表示します: (これは決して起こらないはずです)

「悪ビット」が設定されたすべてのトラフィックを表示します。

すべての IPv6 トラフィックを表示します。

キャプチャされたパケットを ASCII で印刷する

キャプチャされたパケットを HEX および ASCII で表示

パケットをキャプチャしてファイルに保存する

キャプチャされたパケット ファイルの読み取り

IPアドレスパケットのキャプチャ

TCP パケットのみをキャプチャします。

特定のポートからパケットをキャプチャする

送信元IPからパケットをキャプチャする

宛先IPからパケットをキャプチャする

xxxx からのパックをキャプチャします

xxxx との間で送受信されるパケットをキャプチャします。

xxxx に送信されるパケットをキャプチャします

xxxx からのパックをキャプチャします

ネットワーク xxx0/24 に送信されるパケットをキャプチャします。

ネットワーク xxx0/24 からのパケットをキャプチャします

宛先ポート x のパケットをキャプチャします

ポート x から送信されるパケットをキャプチャします

ポート範囲 x から y への、またはポート範囲へのパケットをキャプチャします

任意の tcp または udp ポート範囲 x から y をキャプチャします

dst ip xxxx およびポート y のパケットをキャプチャします

dst ip xxxx および dst ポート x、z のパケットをキャプチャします

ICMP、ARPをキャプチャ

インターフェイス eth0 でパケットをキャプチャし、cap.txt ファイルにダンプします

16 進出力でパケットの内容を取得する

特定のポートに関連するトラフィックを表示する

1 つのプロトコルのトラフィックを表示

IPでトラフィックを検索

送信元および/または宛先によるフィルタリング

ネットワークごとにパケットを検索する

16 進出力でパケットの内容を取得する

特定のポートに関連するトラフィックを表示する

1 つのプロトコルのトラフィックを表示

IP6 トラフィックのみを表示

-X と同じですが、イーサネットヘッダーも表示されます。

キャプチャされたパケットファイルの読み取り

パケットサイズに基づいてトラフィックを検索する

HTTP ユーザーエージェントを検索する

egrep と複数の一致を使用することで、リクエストからユーザーエージェントとホスト (またはその他のヘッダー) を取得できます。

キャプチャファイルの回転

UDP を使用した IPv6、および以前に保存されたキャプチャファイルからの読み取り。

すべての非ローカルホストの開始パケットと終了パケットをキャプチャする

同じコマンドを、事前定義されたヘッダーフィールドオフセット (icmptype) および ICMP タイプフィールド値 (icmp-echo および icmp-echoreply) で使用できます。